Esquire Brands – компания, която проектира, лицензира и произвежда детски обувки – е станала обект на атака от Play ransomware, една от най-известните и активни киберпрестъпни групи в момента.

Името на компанията вече е публикувано в т.нар. dark web сайт за изнудване, който Play използва, за да оказва публичен натиск върху жертвите си. Според твърденията на атакуващите, откраднатите данни могат да бъдат публикувани още на 3 януари, ако не бъде постигнато споразумение.

Esquire Brands притежава лицензи за популярни модни брандове като DKNY, Sam Edelman и Kenneth Cole, което допълнително повишава интереса към инцидента – както от страна на престъпниците, така и от страна на потенциално засегнатите партньори.

Какъв тип данни са компрометирани

По информация, публикувана от самата рансъмуер група, в ръцете на атакуващите са попаднали:

• документи, свързани с клиенти,

• информация за работни заплати,

• финансови данни,

• вътрешна корпоративна документация.

Особено чувствителни са данните за възнаграждения, които обикновено съдържат лична информация за служители – имена, адреси, банкови детайли и идентификатори. Това отваря врата за:

• кражба на самоличност,

• целенасочени фишинг атаки,

• социално инженерство.

В подобни случаи често се наблюдават опити за имитиране на ръководни кадри, с цел измамно пренасочване на средства или изнудване на партньори.

Финансовите и клиентските данни от своя страна могат да бъдат използвани за корпоративен шпионаж, измами или вторични атаки срещу други организации от веригата на доставки.

Класически модел на двойно изнудване

Play ransomware следва добре познат, но изключително ефективен модел – двойно изнудване. Първо се изнасят данни, а едва след това се заплашва с тяхното публикуване. Така дори компаниите с резервни копия остават под натиск.

Към момента от Esquire Brands няма официална публична позиция, но подобни инциденти обикновено водят до:

• вътрешни разследвания,

• ангажиране на външни киберексперти,

• уведомяване на регулатори и засегнати лица.

Кои са Play ransomware

Play ransomware е сред топ три най-активни рансъмуер групи през последните години и се отличава с атаки срещу както публичния, така и частния сектор.

Сред по-известните им жертви са:

• авиационният доставчик Jamco Aerospace (работещ с ВМС на САЩ, Boeing и Northrop Grumman),

• шерифски служби и затвори в САЩ,

• големи компании като Rackspace, H-Hotels и BMW France.

Групата е сред първите, които прилагат т.нар. интермитентно криптиране – техника, при която се криптират само определени сегменти от системите. Това позволява:

• по-бързо проникване,

• по-ефективно изнасяне на данни,

• по-трудно засичане в ранните етапи на атаката.

Подобен подход вече се използва и от други водещи рансъмуер групи, което показва колко бързо иновациите в киберпрестъпността се разпространяват.

Какъв е по-широкият урок

Случаят с Esquire Brands е поредното напомняне, че не само технологичните компании са цел. Производствени фирми, брандове с лицензи и сложни вериги за доставки са особено привлекателни мишени.

За организациите това означава:

• нужда от по-добра защита на чувствителните данни,

• сегментиране на достъпа,

• активен мониторинг за рансъмуер индикатори,

• ясни планове за реакция при инциденти.